唯品会用户登录

v1.0.3

唯品会账号扫码登录技能。当用户说"登录唯品会"、"唯品会登录"、"扫码登录唯品会"、 "我要登录唯品会账号"，或其他技能检测到未登录需要引导登录时，应立即触发此技能。执行完整的二维码登录流程：获取二维码 → 展示给用户扫码 → 轮询确认 → 保存登录态到 ~/.vipshop-user-login/tokens...

⭐ 0· 87·0 current·0 all-time

by@vip·duplicate of @viphgta/vipshop-user-login

MIT-0

Download zip

LicenseMIT-0 · Free to use, modify, and redistribute. No attribution required.

Security Scan

VirusTotal

Benign

View report →

OpenClaw

Benign

high confidence

✓

Purpose & Capability

名称、描述与代码实现一致：请求 initQrLogin/getQrImage/checkStatus 三个唯品会接口，展示二维码并保存 cookie 到 ~/.vipshop-user-login/tokens.json；所需依赖（requests, qrcode, Pillow）与功能相符。

ℹ

Instruction Scope

SKILL.md 明确要求 AI 从 stdout 提取二维码 URL 并以 Markdown 图像展示，这 fits the use-case. 注意：StatusPoller 返回的 StatusResult 中包含 raw_http_response (requests.Response 对象)，如果 AI 将该对象序列化或输出，可能会暴露 HTTP headers/cookies — 代码本身并未将 raw_http_response 网络传出，但若 AI 误将其打印并转发，存在泄露风险。

✓

Install Mechanism

无安装脚本，为 instruction+python 代码包；requirements.txt 中列出的第三方包是正常且可追溯的公共包（requests/qrcode/Pillow/packaging）；没有从不明下载站点提取或执行远程二进制。

✓

Credentials

无需任何额外环境变量或外部凭证。技能会在用户主目录下创建并写入 ~/.vipshop-user-login/tokens.json（单用户模式），该行为与登录管理目的直接相关且可理解。代码尝试将目录权限设为 700 和文件权限 600。

✓

Persistence & Privilege

没有设置 always:true；技能会在自身目录 (~/.vipshop-user-login) 内持久化凭证供其他唯品会相关技能使用，但不会修改其他技能或系统范围配置。agent 可自主调用技能（平台默认），这本身并不构成额外怀疑。

Assessment

要点与建议： - 功能说明：该技能直接与 https://passport.vip.com 交互以完成二维码登录，并将登录态（cookies）保存在你的主目录 ~/.vipshop-user-login/tokens.json，文件/目录权限代码尝试设置为仅限所有者访问。 - 可信度：代码与 SKILL.md 在功能、网络目标和存储位置上自洽，未发现指向第三方或隐蔽远程服务器的调用。 - 风险/注意事项： - 本技能会在本地保存登录 cookies（凭证），如果你不希望凭证长期保存在机器上，请在使用后删除 ~/.vipshop-user-login 目录。 - StatusPoller 的 StatusResult 包含 raw_http_response 对象（requests.Response）；虽然代码没有自动上报这些对象，但如果 AI 智能体被指示打印或转发完整响应对象，可能会泄露 cookies/headers。建议确保 AI 不会把原始 HTTP 响应对象直接输出到外部聊天或日志。 - SKILL.md 要求智能体把二维码以 Markdown 图片嵌入展示（而非仅返回链接），这会导致客户端/界面发起对 passport.vip.com 的图片请求以加载二维码图像。确认你的客户端环境在渲染该图片时是受信任的。 - 操作建议： 1) 在受信任的、隔离的环境（例如你的个人机器或受控容器）中运行并测试该技能，查看生成的 tokens.json 内容与权限。 2) 如果你担心凭证泄露，使用技能后手动删除 ~/.vipshop-user-login 或在本地设置更严格的磁盘加密/访问控制。 3) 若要进一步降低风险，可审阅/修改代码以移除或阻止将 raw_http_response 暴露给外部输出，或在执行环境中禁止智能体打印完整响应对象。总之：此技能在多方面与其声明一致，可按需使用，但请留意本地凭证存储并在使用策略上作出判断。

Like a lobster shell, security has layers — review code before you run it.

latestvk9738p9tsypamb283qxpjndzy584wv37

License

MIT-0

Free to use, modify, and redistribute. No attribution required.

Termshttps://spdx.org/licenses/MIT-0.html

唯品会用户登录

License

Comments